個人データの取扱いを外部に委託している事業者向けに、委託先に確認する質問を12項目に並べました。現行法で適用中のもの、改正法で決まったもの、委員会事務局の案の段階のものを、状態の列で見分けられます。
1. この表の使い方
委託先を新しく選ぶとき、契約を更新するとき、委託先から事故の連絡を受けたときに、そのまま質問として読み上げられる12項目です。各項目に、根拠と状態を付けました。状態が「事務局案」の項目は、委員会事務局が規則の検討で「定めておく必要があるのではないか」と問いかけた候補で、決定ではありません。契約書の雛形を固める根拠にはなりません。
項目の根拠は、委託先の個人データ取扱いと委託先契約で定める事項の3論点に書いた内容です。このページでは、同じ内容を質問の形に並べ直しただけで、新しい規律は書いていません。事務局案の項目は、2026-10-01の資料（論点1・2・3）を2026-10-11に再度読んで、項目名を照合しました。
2. 委託先への確認質問12項目
| 番号 | 質問 | 確認の観点 | 根拠 | 状態 |
|---|---|---|---|---|
| Q1 | 委託する業務の内容と、渡す個人データの項目は何か。 | 委託先の説明を、契約書の業務内容と項目の記載に突き合わせる | 事務局案（論点1・3） | 決定ではない |
| Q2 | 委託先は、取扱いの方法を自社の指示どおりに機械的に実行するだけか。それとも委託先が自分で決める部分があるか。 | 委託先の義務免除の対象になりうるかを分ける出発点 | 法第58条の2（改正法） | 免除の要件は規則待ち |
| Q3 | 行う処理の内容（取得・保存・評価・加工・提供・消去）は何か。取得先・提供先、評価・加工の基準はあるか。 | 処理の一覧を契約書に書けているか | 事務局案（論点1） | 決定ではない |
| Q4 | 取扱いはいつから、いつまでか。 | 始期と終期が契約書にあるか | 事務局案（論点1） | 決定ではない |
| Q5 | 個人データを外国で取り扱うか。取り扱う場合、どの国か。 | 保管するサーバーの所在も確かめる | 事務局案（論点1） | 決定ではない |
| Q6 | 委託を受けた業務に必要な範囲を超えて、個人データを使わないことを確認できるか。 | 委託先自身の義務。免除の場合も引き続き適用される | 法第30条の3（改正法） | 施行日は政令待ち |
| Q7 | 漏えい等、業務に必要な範囲を超えた取扱い、契約違反を知ったとき、委託先は委託元へすぐ報告する仕組みがあるか。 | 連絡先と連絡手段、夜間・休日の窓口も聞く | 法第58条の2（免除の前提の1つ） | 報告の詳細は規則待ち |
| Q8 | 取扱いの記録を作り、求めに応じて提供できるか。安全管理のために講じた措置の情報を提供できるか。 | 提供の頻度と形式を決めておく | 事務局案（論点3） | 決定ではない |
| Q9 | 委託先の取扱いの状況を、自社がどう把握するか（報告、監査、点検など）。 | 現行法の委託元の監督義務の1つ。契約を結ばず状況も把握していなかった事案が指導されている | 法第25条（現行）、指導事例 | 現行法で適用中 |
| Q10 | 脆弱性への対応など、セキュリティの責任をどちらが負うか、契約書に書いてあるか。 | 責任分担が曖昧で脆弱性対応が行われなかった事案が指導されている | 指導事例（委員会公表） | 現行法の運用 |
| Q11 | 自社の求めに応じて、取扱いを止めてもらえるか。 | 停止の依頼の窓口と期限を聞く | 事務局案（論点3） | 決定ではない |
| Q12 | 委託が終わったとき、個人データを返すか消すか。消した証拠を出せるか。 | 終了時の手順と記録を聞く | 事務局案（論点3） | 決定ではない |
表の「現行法」は、すでに適用されている規律です。「改正法」は成立した改正で、施行は公布から2年を超えない範囲内で政令が定める日です。「事務局案」は、規則が決まるまで確定しません。
3. 質問を使う順序
- 委託している業務を一覧にし、Q1・Q2で、委託先が指示どおりに機械的に処理するだけの業務と、委託先が取扱いの方法を決める業務に分ける。
- Q9・Q10・Q7は現行法の運用で今すぐ確かめられる。契約書があるか、責任分担と報告の連絡先が書かれているかを確認する。
- Q3〜Q5・Q8・Q11・Q12は、規則の案が確定した時点で契約の見直しに使う。それまでは、委託先に口頭やメールで答えてもらい、答えを記録しておく。
4. 委託の種類別に、先に聞く質問
12項目を上から順に聞く前に、自社の委託がどの種類に近いかで、先に確かめる質問を選べます。種類は目安であり、委託に当たるか、どの義務の対象になるかは、契約内容と実際の取扱いで決まります。
| 委託の種類 | 先に聞く質問 | 理由 |
|---|---|---|
| SaaS・クラウドにデータを保存する | Q1・Q2・Q10・Q7 | 現行のQ&A（Q7-53）は、委託に当たるかを、クラウド事業者が個人データを取り扱うこととなっているかで決めるとしている。まず、保存したデータを事業者が取り扱わない契約になっているか（Q1・Q2）を確かめ、責任分担（Q10）と事故時の報告（Q7）を聞く。取り扱わないこととなっていれば委託に当たらないが、利用する側が自ら安全管理措置を講じる必要がある |
| BPO・業務代行（委託先が個人データを処理する） | Q1・Q2・Q3・Q6・Q9 | 渡す項目と処理の内容（Q1・Q3）、指示どおりに機械的に処理するだけか（Q2）、業務に必要な範囲を超えて使わないか（Q6）、状況をどう把握するか（Q9）を先に確かめる |
| 再委託がある | Q1・Q5・Q9・Q7 | 再委託先を含めて、渡す項目と外国での取扱いの有無（Q1・Q5）を聞き、状況の把握方法（Q9）と事故時の報告の経路（Q7）を確かめる。改正法の概要と事務局資料に「再委託」の語はなく、改正で再委託先への規律がどう扱われるかは、一次資料から確認できていないため書かない（確認日 2026-10-12） |
委託の種類ごとの場面は受託開発・Web制作・SaaS事業者が確認する令和8年改正に、条文と契約事項は委託先契約で定める事項の3論点に書いています。どの質問を使うか、契約をどう直すかの最終的な判断は、顧問弁護士や個人情報保護委員会に確認してください。
よくある質問
この質問リストをそのまま契約書に使えますか。
使えません。質問の形に並べた確認用の表で、契約書の雛形ではありません。事務局案の項目は決定前の候補です。契約書の作成は顧問弁護士に確認してください。
すべての質問に答えてもらわないと、委託できませんか。
このサイトは該当性や適否を判断しません。現行法で適用中なのは、委託元が委託先を監督する義務（法第25条）で、Q9・Q10・Q7はその確認に役立ちます。
事務局案の項目は、いつ確定しますか。
委員会規則が公布された時点です。公布の時期は今のところ示されていません。決定タイムラインで更新を追えます。
義務免除を使うと、委託元の監督義務や委託先の安全管理義務もなくなりますか。
なくなりません。改正法の義務免除を使う場合も、委託先の安全管理に関する義務と、委託業務に必要な範囲を超えて個人データ等を取り扱わない義務は残ります。委託元の監督義務も現行法で引き続き適用されます。免除に必要な契約事項と契約方法の細部は、委員会規則が公布されるまで未確定です。
出典
- S-16個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の3（確認日 2026-09-04）
- S-42個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」の論点1〜3（2026-10-01公表・確認日 2026-10-02）
- S-26個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）本文（PDF） 第30条の3・第58条の2（確認日 2026-09-05）
- S-58個人情報保護委員会「令和8年度第1四半期における監視・監督権限の行使状況の概要」（2026-09-02）の事案（Q9・Q10。このサイトの指導事例ページで確認）